santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Оперативная память » explorer.exe(1768) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна, Heeeelp, При сканирования Eset выдает то что указал в названии темы

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 12:02:50

крепкий троян,
такой вариант проверим, в нормальном режиме
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\TEMP\033D8~1.429 addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz deltmp delnfr sreg delref %SystemDrive%\TEMP\033D8~1.429 regt 12 areg

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

zoo %SystemDrive%\TEMP\033D8~1.429
addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz
deltmp
delnfr
sreg
delref %SystemDrive%\TEMP\033D8~1.429
regt 12
areg

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS, созданный после скрипта (например: 2011-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = explorer.exe(360) модифицированный Win32/Spy.Shiz.NCE троянская программа

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 11:29:56

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %Sys32%\XTGINA.DLL addsgn A76592C9033DCF0F07D5DBB48CD41205256257FC89FAE00D953CB0B0AFA379ED2327C347C185C217704946934643C01FFE33E4253FDADADAC50AAF2FC78F678B 64 rdpdoor zoo %SystemDrive%\DOCUMENTS AND SETTINGS\EKATRIN\LOCAL SETTINGS\TEMP\0C87A~1.501 addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz delall %Sys32%\XTGINA.DLL delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr CZOO sreg delref %SystemDrive%\DOCUMENTS AND SETTINGS\EKATRIN\LOCAL SETTINGS\TEMP\0C87A~1.501 regt 12 areg

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
zoo %Sys32%\XTGINA.DLL
addsgn A76592C9033DCF0F07D5DBB48CD41205256257FC89FAE00D953CB0B0AFA379ED2327C347C185C217704946934643C01FFE33E4253FDADADAC50AAF2FC78F678B 64 rdpdoor
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\EKATRIN\LOCAL SETTINGS\TEMP\0C87A~1.501
addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz
delall %Sys32%\XTGINA.DLL
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
CZOO
sreg
delref %SystemDrive%\DOCUMENTS AND SETTINGS\EKATRIN\LOCAL SETTINGS\TEMP\0C87A~1.501
regt 12
areg

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 11:25:05

выполните скрипт в безопасном режиме
-----------
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\TEMP\033D8~1.429 addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz bl 3B28EBA4F8700333CD3A138BC4639D45 282624 delall %SystemDrive%\TEMP\033D8~1.429 chklst delvir regt 12 restart

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
zoo %SystemDrive%\TEMP\033D8~1.429
addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz
bl 3B28EBA4F8700333CD3A138BC4639D45 282624
delall %SystemDrive%\TEMP\033D8~1.429
chklst
delvir
regt 12
restart

перезагрузка, пишем о старых и новых проблемах.
архив, из каталога uVS, созданный после выполнения скрипта (например: 2012-12-31_23-59-59.rar/7z) отправить в почту [email protected]
----------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 10:46:11

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz zoo %SystemDrive%\TEMP\033D8~1.429 delall %SystemDrive%\TEMP\033D8~1.429 delref HTTP://WEBALTA.RU delref HTTP://WEBALTA.RU/POISK deltmp delnfr regt 12 CZOO restart

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
addsgn 9A58688A5482BC8DF42BAEB164C81205158AFCF6C1FA1F7885C3C5BC88DB2CC93C8E5612ADBE0F7E5D64B9B3461649FA7DDFE97255DAE66E7230C840A3604511 8 Spy.Shiz
zoo %SystemDrive%\TEMP\033D8~1.429
delall %SystemDrive%\TEMP\033D8~1.429
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU/POISK
deltmp
delnfr
regt 12
CZOO
restart

[ Как создать образ автозапуска? ]

Перейти

Замучил - Carberp.AF, 04.05.2012 7:05:50 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = explorer.exe(1932) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна ящик-ПК\ящик

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 10:31:50

угу, вас приветствует троян Carberp.AF.

------------
выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 addsgn A7679B19B912C777CBD4ECB1ED8DCA564D8A9E6203921FC3521DAF7D38D6F7911DFF89743E551E8D3BD60FD29E46233A9590CA725559742447BAF4C7EE272273 8 Carberp.AF.0515 zoo %SystemDrive%\USERS\ЯЩИК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\.EXE bl FEB830D3189AE5D5F064A247DE917F0B 139264 delall %SystemDrive%\USERS\ЯЩИК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\.EXE chklst delvir deltmp delnfr CZOO restart

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn A7679B19B912C777CBD4ECB1ED8DCA564D8A9E6203921FC3521DAF7D38D6F7911DFF89743E551E8D3BD60FD29E46233A9590CA725559742447BAF4C7EE272273 8 Carberp.AF.0515
zoo %SystemDrive%\USERS\ЯЩИК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\.EXE
bl FEB830D3189AE5D5F064A247DE917F0B 139264
delall %SystemDrive%\USERS\ЯЩИК\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\.EXE
chklst
delvir
deltmp
delnfr
CZOO
restart

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Оперативная память = explorer.exe(168) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 10:29:27

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XVRJZ6GVLAM.EXE addsgn A7679BF0AA0238134BD4C6E433881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CA61C9FE82BD6D7B0EC6E775BACCA02E230 8 Carberp.AF.0514 bl 2B35E664E9C189EA9D79653DB465DF75 200704 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XVRJZ6GVLAM.EXE chklst delvir deltmp delnfr CZOO restart

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XVRJZ6GVLAM.EXE
addsgn A7679BF0AA0238134BD4C6E433881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CA61C9FE82BD6D7B0EC6E775BACCA02E230 8 Carberp.AF.0514
bl 2B35E664E9C189EA9D79653DB465DF75 200704
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ADMIN\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\XVRJZ6GVLAM.EXE
chklst
delvir
deltmp
delnfr
CZOO
restart

[ Как создать образ автозапуска? ]

Перейти

14.05.2012 21:16:15 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = explorer.exe(616) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна, 14.05.2012 21:16:15 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = explorer.exe(616) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 15.05.2012 06:16:25

1. сделайте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. сделайте образ автозапуска в безопасном режиме

[ Как создать образ автозапуска? ]

Перейти

Win32/TrojanDownloader.Carberp.AF, Вирус не могу очистить

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.05.2012 19:51:43

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv6.1 addsgn A7679BF0AA0238134BD4C6E433881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CA61C9FE82BD6D7B0EC6E775BACCA02E230 8 Carberp.AF.0514 zoo %SystemDrive%\USERS\IVAN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\F3MPE7ED3IQ.EXE bl 2B73AE9A967015B78E07587F1FC43DE1 200704 delall %SystemDrive%\USERS\IVAN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\F3MPE7ED3IQ.EXE chklst delvir delref HTTP://QIP.RU delref HTTP://SEARCH.QIP.RU deltmp delnfr CZOO restart

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1
addsgn A7679BF0AA0238134BD4C6E433881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95CA61C9FE82BD6D7B0EC6E775BACCA02E230 8 Carberp.AF.0514
zoo %SystemDrive%\USERS\IVAN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\F3MPE7ED3IQ.EXE
bl 2B73AE9A967015B78E07587F1FC43DE1 200704
delall %SystemDrive%\USERS\IVAN\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\F3MPE7ED3IQ.EXE
chklst
delvir
delref HTTP://QIP.RU
delref HTTP://SEARCH.QIP.RU
deltmp
delnfr
CZOO
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: 2012-12-31_23-59-59.rar/7z) отправить в почту [email protected], [email protected]
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] 14.05.2012 15:38:28 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = explorer.exe(316) вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа очистка невозможна.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.05.2012 19:48:12

Код
;uVS v3.75 BETA2 script [http://dsrt.dyndns.org] ;Target OS: NTv5.1 delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML delall %SystemDrive%\PROGRAM FILES\NORTON2009RESET.EXE delref HTTP://WEBALTA.RU delref HTTP://WEBALTA.RU/POISK delref HTTP://WWW.PHILKA.RU delref HTTP://WWW.SMAXI.BIZ delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS\APPLICATION DATA\VKSAVER\VKSAVER3.DLL deltmp delnfr restart

Код

;uVS v3.75 BETA2 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS\APPLICATION DATA\ICQ\ICQNEWTAB\NEWTAB.HTML
delall %SystemDrive%\PROGRAM FILES\NORTON2009RESET.EXE
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU/POISK
delref HTTP://WWW.PHILKA.RU
delref HTTP://WWW.SMAXI.BIZ
delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS.WINDOWS\APPLICATION DATA\VKSAVER\VKSAVER3.DLL
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

[ Как создать образ автозапуска? ]

Перейти

Оперативная память = explorer.exe(552) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AF троянская программа - очистка невозможна

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 14.05.2012 19:44:30

это удалите в мбам

Цитата
Обнаруженные файлы: 1 C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

если проблемы решены,
выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

[ Как создать образ автозапуска? ]

Перейти